CVE-2026-85716
Təsvir
AsyncHttpClient (AHC) kitabxanası Java tətbiqlərinə HTTP sorğularını asanlıqla yerinə yetirməyə və HTTP cavablarını asinxron şəkildə emal etməyə imkan verir. 3.0.8 versiyasından 3.0.12 versiyasına qədər olan dövrdə, processScramAuthenticationInfo və processAuthenticationInfo funksiyaları SCRAM ServerSignature və ya Digest rspauth yoxlama nəticəsini hesablayır, lakin uyğunsuzluq olduqda bunu loqlasa da, cavabı hələ də autentifikasiya olunmuş kimi təqdim edir. TLS olmayan və ya kompromisə uğramış nəqliyyat kanalında, ortaq sirri bildiyini sübut etməmiş qarşı tərəf server kimi qəbul edilə bilər. Düzəliş mövcud olan yanlış dəyəri rədd edir və Digest rspauth-u faktiki göndərilmiş Authorization parametrlərindən hesablayır, lakin dəyər olmadıqda, göndərilmiş parametrlər bərpa edilə bilmədikdə və ya Digest qop=auth-int istifadə etdikdə yoxlama tətbiq edilmir. Bu problem 3.0.12 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- org.asynchttpclient:async-http-client3.0.12 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| org.asynchttpclient:async-http-clientMaven | 3.0.8 ≤ v < 3.0.12 | 3.0.12 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.